Perché il metodo di autenticazione è importante quando si tratta di risolvere il problema dello scambio di SIM

Se state costruendo per la telefonia mobile e siete preoccupati che la frode dello scambio di SIM possa compromettere i vostri utenti, non siete i soli. Si tratta di un problema in crescita con gravi conseguenze finanziarie: le fintech e i portafogli di criptovalute sono stati presi particolarmente di mira, ma qualsiasi piattaforma è a rischio se può essere utilizzata per raccogliere dettagli sulle potenziali vittime o per ottenere un accesso amministrativo non autorizzato a un sistema ampiamente utilizzato. Basta un utente compromesso per causare gravi danni.
‍

Ma con le tante soluzioni di sicurezza mobile disponibili, può essere scoraggiante capire quale sia il modo migliore per autenticare gli utenti reali e tenere fuori quelli cattivi.
‍

In questo blog analizzeremo le differenze tra i metodi più diffusi per l'identificazione degli utenti e confronteremo la loro suscettibilità agli attacchi di SIM swap, prima di illustrare la soluzione migliore sia per l'esperienza dell'utente che per la sicurezza, in grado di fermare i truffatori alla porta.

‍

Nome utente o e-mail + password

‍‍Le password sono il più comune fattore di "conoscenza" della sicurezza: l'utente dimostra la propria identità fornendo qualcosa che conosce solo lui. Rimangono così popolari perché sono facili da impostare e universali. Tuttavia, è ormai opinione diffusa che le password siano la forma più debole di autenticazione, perché la conoscenza può essere condivisa e rubata.
‍

Per verificare che una password sia corretta, è necessario memorizzarla in un database. Questi dati, anche quando sono crittografati, vengono costantemente violatoAnche la password più "forte" è forte quanto il database in cui è memorizzata.
‍

L'altro problema delle password è che la maggior parte degli utenti accede a centinaia di servizi diversi basati su password. Realisticamente, ciò significa che la stessa password (o una piccola variazione) viene riciclata in molti servizi, quindi una violazione delle credenziali apre molte altre vulnerabilità.
‍

D'altra parte, un utente diligente deve memorizzare centinaia di password diverse, forti e uniche. Inevitabilmente, gli utenti dimenticano queste password o devono reimpostarle periodicamente. Oltre ad assorbire la maggior parte delle richieste di assistenza informatica, ciò significa che è necessario un altro fattore per verificare l'identità dell'utente. In genere si tratta di un codice inviato via SMS, che è il punto di partenza della frode SIM swap...

SMS OTP

‍‍Da tempo gli esperti di sicurezza sottolineano la difetti all'interno delle OTP (one-time password) inviate via SMS, invitando le aziende a non affidarsi a questo metodo. Tuttavia, dato che i numeri di telefono cellulare sono una forma di identità universale, molte piattaforme utilizzano ancora gli SMS come solo controllare le richieste di reimpostazione della password e l'autenticazione a due fattori (2FA). Purtroppo, questo è esattamente ciò che i truffatori di SIM swap hanno imparato a sfruttare, con conseguenze devastanti.
‍

Truffatori che scambiano le SIM operare ottenendo informazioni su una vittima - in genere attraverso truffe di phishing, ingegneria sociale o acquistando dati trapelati da altri criminali - e convincendo poi un dipendente della rete mobile a scambiare il numero di telefono della vittima con la nuova carta SIM dell'aggressore.
‍

Da lì, anche se non possiede già le password della vittima, l'aggressore può semplicemente utilizzare ciò che già conosce della vittima (come l'indirizzo e-mail) e attivare una richiesta di reimpostazione della password, che invia un codice direttamente al telefono del truffatore. In breve tempo, la vittima è bloccata dai propri account e l'aggressore è in grado di rubarle l'identità e il denaro.

‍

Accesso sociale

‍‍I social login hanno guadagnato popolarità negli ultimi tempi come esperienza utente più agevole rispetto alla creazione di una nuova serie di credenziali per ogni piattaforma. Utilizzando un account già esistente (come Google, Facebook o Twitter) per iscriversi, gli utenti non devono preoccuparsi di memorizzare un nuovo nome utente e una nuova password, rendendo l'onboarding più rapido e semplice. Per un'azienda, questo offre anche il vantaggio di non dover memorizzare i dati degli utenti e di potersi affidare alla sicurezza di aziende più grandi.
‍

Tuttavia, il difetto principale del metodo di social login è che questi servizi esterni si basano ancora sul nome utente o sull'e-mail + password, il che significa che possono ancora essere violati da remoto o dimenticati, e quindi richiedono ancora un secondo fattore per accedere, riportando alla questione degli SMS OTP.

‍

L'antidoto: Autenticazione basata su SIM

La buona notizia è che esiste un nuovo metodo di verifica che è nativo del cellulare, universale, offre una migliore esperienza all'utente ed è progettato per tenere lontani i truffatori che scambiano le SIM. Lo chiamiamo autenticazione basata sulla SIM.
‍

Se si utilizza già l'SMS OTP per l'autenticazione, è possibile utilizzare IDlayr Controllo SIM attivo per verificare che la carta SIM non sia cambiata prima di inviare un codice all'utente. La vostra app o il vostro sito passano il numero di cellulare verificato a IDlayr tramite la nostra API, che vi fornisce una risposta immediata e perseguibile.
‍

Se l'utente registrato è ancora in possesso della stessa carta SIM, la verifica avrà esito positivo e si potrà inviare l'SMS OTP come di consueto. Se invece è stata cambiata la carta SIM, la verifica non avrà esito positivo e si potrà seguire il flusso di sicurezza step-up.
‍

Sebbene sia più potente se abbinato a una sessione attiva del dispositivo, ciò non è necessario: potete eseguire il controllo esclusivamente dai vostri server, il che rende banale aumentare la sicurezza esistente sui flussi 2FA dei siti web o delle app mobili.
‍

Inoltre, se siete alla ricerca di una soluzione di prevenzione delle frodi legate allo scambio di SIM per il login successivo, nonché di una maggiore sicurezza che migliori anche l'UX, IDlayr offre Controllo abbonati forte. Strong SubscriberCheck combina l'autenticazione senza attrito del numero di cellulare basata sulla SIM (senza bisogno di SMS) con la verifica silenziosa che la carta SIM non sia cambiata. Ciò significa che il vostro flusso di onboarding può essere il più semplice possibile, con il risultato di deliziare gli utenti senza perdere in sicurezza.
‍

Informazioni su IDlayr

IDlayr sta reinventando l'identità online per l'era mobile, aiutando banche e grandi imprese a ridurre le frodi, i costi operativi e a migliorare l'esperienza degli utenti. IDlayr consente di utilizzare il proprio numero di cellulare, anziché l'e-mail, per dimostrare la propria identità online; perché l'identità mobile è più sicura, più facile da usare e sempre con sé.

‍

Prenotate una demo oggi stesso per scoprire come IDlayr può aiutare la vostra azienda.